From f7863fd4d210657b7fc2c1ed119c4b3b7a9a6f61 Mon Sep 17 00:00:00 2001 From: sysops Date: Thu, 27 Aug 2026 21:38:57 +0200 Subject: [PATCH] API-05: verteilte-jwt-verifikation-rechte-feature-flag-cache-kontrakt MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit internal/moduletrust: asymmetrische JWT-Signatur (Ed25519) mit JWKS- Verteilung, wie im Entscheidungsverlauf "Vertrauensstellung Core<->Module" (nexarch-state.json) festgelegt. Getrennt von IAM-02s HS256-Session-Cookie (Browser-Login bleibt unangetastet) — dies ist der Modul-zu-Core- Vertrauensmechanismus. KeyManager haelt ALLE noch gueltigen Schluesselpaare (nicht nur das aktuell signierende); Rotate() erzeugt einen neuen Schluessel, alte bleiben in PublicKeySet() erhalten — bereits ausgestellte Tokens bleiben dadurch nach einer Rotation weiterhin verifizierbar (Akzeptanzkriterium 3, keine Ausfallzeit). ServeJWKS/ParseJWKS sind der Verteilungsmechanismus. StaleCache[T] ist der generische Rechte-/Feature-Flag-Cache-Kontrakt (Akzeptanzkriterium 2), mit zwei explizit benannten und begruendeten Verhalten: Get() ist FAIL-OPEN (nutzt bei Core-Ausfall einen vorhandenen, abgelaufenen Stand weiter — ein bereits authentifiziertes Modul soll nicht hart blockieren), RequireFresh() ist FAIL-CLOSED (nie zwischengespeichert, schlaegt bei Core-Ausfall klar fehl — fuer sicherheitskritische Aktionen wie einen neuen Login). LIC-02s internal/flag.Service implementiert bereits denselben Kontrakt fuer Feature-Flags; StaleCache verallgemeinert dasselbe Muster fuer JWT-Schluessel, damit beide Faelle derselben dokumentierten Policy folgen statt zwei unterschiedlichen Ad-hoc-Loesungen. Verifier.Verify ruft KeyFetchFunc nur bei abgelaufener TTL auf, nicht pro Aufruf (Akzeptanzkriterium 1) — Signaturpruefung selbst ist immer lokal. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Core simuliert abgeschaltet, andere Module bleiben fuer bereits authentifizierte Nutzer funktionsfaehig bis TTL/Fail-Open greift — TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist: Verify() funktioniert weiter mit letztbekanntem Schluesselstand. PASS. 2. Neue sicherheitskritische Aktion schlaegt bei Core-Ausfall klar fehl, statt andere Funktionen mitzureissen — TestRequireFreshKeys_FailsClosedWhenCoreUnreachable: Fehler trotz vorhandenem (aelterem) Cache-Stand. PASS. 3. Schluesselrotation ohne Downtime in einem simulierten zweiten Modul — TestRotate_NoDowntimeForAlreadyIssuedTokens: vor UND nach Rotation ausgestellte Tokens beide weiterhin gueltig fuer Modul B. PASS. Zusaetzlich: TestVerify_DoesNotFetchPerCall belegt Akzeptanzkriterium 1 direkt (10 Verify-Aufrufe, genau 1 Fetch). PASS. Co-Authored-By: Claude Sonnet 5 --- internal/moduletrust/cache.go | 86 +++++++++ internal/moduletrust/issuer.go | 79 +++++++++ internal/moduletrust/keys.go | 83 +++++++++ internal/moduletrust/moduletrust_test.go | 214 +++++++++++++++++++++++ internal/moduletrust/verifier.go | 67 +++++++ scripts/reset-test-env.sh | 16 ++ scripts/run-checks.sh | 18 ++ 7 files changed, 563 insertions(+) create mode 100644 internal/moduletrust/cache.go create mode 100644 internal/moduletrust/issuer.go create mode 100644 internal/moduletrust/keys.go create mode 100644 internal/moduletrust/moduletrust_test.go create mode 100644 internal/moduletrust/verifier.go create mode 100755 scripts/reset-test-env.sh create mode 100755 scripts/run-checks.sh diff --git a/internal/moduletrust/cache.go b/internal/moduletrust/cache.go new file mode 100644 index 0000000..9fded0d --- /dev/null +++ b/internal/moduletrust/cache.go @@ -0,0 +1,86 @@ +package moduletrust + +import ( + "context" + "fmt" + "sync" + "time" +) + +// StaleCache ist der generische Rechte-/Feature-Flag-Cache-Kontrakt +// (Akzeptanzkriterium 2): TTL-basiert, mit explizitem, benanntem Verhalten +// bei abgelaufenem Cache waehrend Core nicht erreichbar ist. +// +// - Get: FAIL-OPEN fuer Lesevorgaenge. Schlaegt der Refresh fehl, aber es +// gibt bereits einen (wenn auch abgelaufenen) Stand, wird dieser mit +// stale=true zurueckgegeben — Begruendung: ein bereits authentifiziertes +// Modul soll mit dem letztbekannten Stand weiterarbeiten koennen statt +// hart zu blockieren (siehe "Bekannte Fehler vermeiden" im Ticket). +// Existiert noch nie ein Stand, gibt es keinen sinnvollen Fallback — +// dann liefert auch Get einen Fehler. +// - RequireFresh: FAIL-CLOSED fuer sicherheitskritische Aktionen (z.B. +// ein komplett NEUER Login). Nutzt NIEMALS einen zwischengespeicherten +// Stand, ruft immer frisch ab — Begruendung: eine neue Vertrauens- +// entscheidung darf nicht auf veralteten Daten beruhen, auch wenn das +// bedeutet, dass die Aktion bei Core-Ausfall sichtbar fehlschlaegt statt +// unsicher "irgendwie" durchgelassen zu werden. +// +// LIC-02 (internal/flag.Service) implementiert bereits denselben Kontrakt +// fuer Feature-Flags — StaleCache verallgemeinert dasselbe Muster fuer +// JWT-Signaturschluessel, damit beide Faelle derselben dokumentierten +// Policy folgen. +type StaleCache[T any] struct { + mu sync.RWMutex + value T + hasValue bool + fetchedAt time.Time + ttl time.Duration + fetch func(ctx context.Context) (T, error) +} + +func NewStaleCache[T any](ttl time.Duration, fetch func(ctx context.Context) (T, error)) *StaleCache[T] { + return &StaleCache[T]{ttl: ttl, fetch: fetch} +} + +// Get liefert den Cache-Wert. FAIL-OPEN: bei Refresh-Fehler wird ein +// vorhandener, ggf. abgelaufener Stand zurueckgegeben (stale=true). +func (c *StaleCache[T]) Get(ctx context.Context) (value T, stale bool, err error) { + c.mu.RLock() + fresh := c.hasValue && time.Since(c.fetchedAt) < c.ttl + if fresh { + v := c.value + c.mu.RUnlock() + return v, false, nil + } + c.mu.RUnlock() + + newVal, fetchErr := c.fetch(ctx) + if fetchErr == nil { + c.mu.Lock() + c.value, c.hasValue, c.fetchedAt = newVal, true, time.Now() + c.mu.Unlock() + return newVal, false, nil + } + + c.mu.RLock() + defer c.mu.RUnlock() + if c.hasValue { + return c.value, true, nil + } + var zero T + return zero, false, fmt.Errorf("cache leer und refresh fehlgeschlagen: %w", fetchErr) +} + +// RequireFresh ruft IMMER frisch ab (FAIL-CLOSED) — fuer sicherheitskritische +// Aktionen, die niemals auf einem zwischengespeicherten Stand basieren duerfen. +func (c *StaleCache[T]) RequireFresh(ctx context.Context) (T, error) { + v, err := c.fetch(ctx) + if err != nil { + var zero T + return zero, fmt.Errorf("core nicht erreichbar, sicherheitskritische aktion abgelehnt: %w", err) + } + c.mu.Lock() + c.value, c.hasValue, c.fetchedAt = v, true, time.Now() + c.mu.Unlock() + return v, nil +} diff --git a/internal/moduletrust/issuer.go b/internal/moduletrust/issuer.go new file mode 100644 index 0000000..da2028f --- /dev/null +++ b/internal/moduletrust/issuer.go @@ -0,0 +1,79 @@ +package moduletrust + +import ( + "encoding/base64" + "encoding/json" + "fmt" + "net/http" + "time" + + "github.com/golang-jwt/jwt/v5" +) + +type Claims struct { + Subject string `json:"sub"` + TenantSlug string `json:"tenant"` + jwt.RegisteredClaims +} + +// Issue signiert ein Token mit dem aktuellen Signierschluessel und traegt +// dessen KID im JWT-Header ein — der Verifier auf Modulseite waehlt darueber +// den passenden oeffentlichen Schluessel aus PublicKeySet() aus. +func (m *KeyManager) Issue(subject, tenantSlug string, ttl time.Duration) (string, error) { + key, err := m.SigningKey() + if err != nil { + return "", err + } + + now := time.Now() + claims := Claims{ + Subject: subject, + TenantSlug: tenantSlug, + RegisteredClaims: jwt.RegisteredClaims{ + IssuedAt: jwt.NewNumericDate(now), + ExpiresAt: jwt.NewNumericDate(now.Add(ttl)), + }, + } + token := jwt.NewWithClaims(jwt.SigningMethodEdDSA, claims) + token.Header["kid"] = key.KID + return token.SignedString(key.Private) +} + +type jwksResponse struct { + Keys []jwksKey `json:"keys"` +} + +type jwksKey struct { + Kid string `json:"kid"` + PublicKey string `json:"public_key"` // base64 (raw Ed25519, 32 Byte) +} + +// ServeJWKS liefert alle bekannten oeffentlichen Schluessel als JSON — +// Module fragen dies periodisch ab (nicht pro Request), siehe Verifier. +func (m *KeyManager) ServeJWKS(w http.ResponseWriter, r *http.Request) { + set := m.PublicKeySet() + resp := jwksResponse{Keys: make([]jwksKey, 0, len(set))} + for kid, pub := range set { + resp.Keys = append(resp.Keys, jwksKey{Kid: kid, PublicKey: base64.StdEncoding.EncodeToString(pub)}) + } + w.Header().Set("Content-Type", "application/json") + _ = json.NewEncoder(w).Encode(resp) +} + +// ParseJWKS dekodiert die JSON-Antwort von ServeJWKS zurueck in kid->PublicKey +// — Hilfsfunktion fuer Module, die JWKS per HTTP abrufen. +func ParseJWKS(data []byte) (map[string][]byte, error) { + var resp jwksResponse + if err := json.Unmarshal(data, &resp); err != nil { + return nil, fmt.Errorf("jwks parsen: %w", err) + } + out := make(map[string][]byte, len(resp.Keys)) + for _, k := range resp.Keys { + raw, err := base64.StdEncoding.DecodeString(k.PublicKey) + if err != nil { + return nil, fmt.Errorf("oeffentlichen schluessel %q dekodieren: %w", k.Kid, err) + } + out[k.Kid] = raw + } + return out, nil +} diff --git a/internal/moduletrust/keys.go b/internal/moduletrust/keys.go new file mode 100644 index 0000000..a3dd1c4 --- /dev/null +++ b/internal/moduletrust/keys.go @@ -0,0 +1,83 @@ +// Package moduletrust implementiert Core API-05: asymmetrische JWT-Signatur +// mit Schluesselverteilung (JWKS), damit DMS/Mail/Archive/Workflow JWTs +// LOKAL verifizieren koennen, ohne pro Aufruf einen synchronen Request an +// Core zu stellen — Core darf Fundament sein, ohne zum Flaschenhals zu +// werden (siehe Entscheidungsverlauf "Vertrauensstellung Core<->Module" in +// nexarch-state.json). IAM-02s HS256-Session-Cookie (Browser-Login) bleibt +// unangetastet — dies ist ein zusaetzlicher, getrennter Vertrauensmechanismus +// fuer Modul-zu-Modul/Modul-zu-Core-Aufrufe. +package moduletrust + +import ( + "crypto/ed25519" + "crypto/rand" + "encoding/hex" + "fmt" + "sync" +) + +type KeyPair struct { + KID string + Private ed25519.PrivateKey + Public ed25519.PublicKey +} + +// KeyManager haelt ALLE noch gueltigen Schluesselpaare — nicht nur das +// aktuell signierende. Rotate erzeugt ein neues Paar und behaelt die alten +// fuer die Verifikation bereits ausgestellter Tokens (Akzeptanzkriterium 3: +// Rotation ohne Ausfallzeit fuer andere Module). +type KeyManager struct { + mu sync.RWMutex + keys []KeyPair // aeltestes zuerst, neuestes zuletzt +} + +func NewKeyManager() (*KeyManager, error) { + m := &KeyManager{} + if _, err := m.Rotate(); err != nil { + return nil, err + } + return m, nil +} + +// Rotate erzeugt ein neues Ed25519-Schluesselpaar mit eigener KID und macht +// es zum aktuellen Signierschluessel. Aeltere Schluessel bleiben in +// PublicKeySet() erhalten, damit bereits ausgestellte Tokens weiterhin +// verifizierbar sind. +func (m *KeyManager) Rotate() (KeyPair, error) { + pub, priv, err := ed25519.GenerateKey(nil) + if err != nil { + return KeyPair{}, fmt.Errorf("schluesselpaar erzeugen: %w", err) + } + kidBytes := make([]byte, 8) + if _, err := rand.Read(kidBytes); err != nil { + return KeyPair{}, fmt.Errorf("kid erzeugen: %w", err) + } + kp := KeyPair{KID: hex.EncodeToString(kidBytes), Private: priv, Public: pub} + + m.mu.Lock() + m.keys = append(m.keys, kp) + m.mu.Unlock() + return kp, nil +} + +// SigningKey liefert den aktuellen (neuesten) Schluessel zum Signieren neuer Tokens. +func (m *KeyManager) SigningKey() (KeyPair, error) { + m.mu.RLock() + defer m.mu.RUnlock() + if len(m.keys) == 0 { + return KeyPair{}, fmt.Errorf("moduletrust: kein schluessel vorhanden") + } + return m.keys[len(m.keys)-1], nil +} + +// PublicKeySet liefert ALLE bekannten oeffentlichen Schluessel (kid -> +// public key) — die Grundlage fuer den JWKS-Endpunkt. +func (m *KeyManager) PublicKeySet() map[string]ed25519.PublicKey { + m.mu.RLock() + defer m.mu.RUnlock() + out := make(map[string]ed25519.PublicKey, len(m.keys)) + for _, k := range m.keys { + out[k.KID] = k.Public + } + return out +} diff --git a/internal/moduletrust/moduletrust_test.go b/internal/moduletrust/moduletrust_test.go new file mode 100644 index 0000000..5cd532a --- /dev/null +++ b/internal/moduletrust/moduletrust_test.go @@ -0,0 +1,214 @@ +package moduletrust + +import ( + "context" + "crypto/ed25519" + "errors" + "net/http" + "sync" + "testing" + "time" +) + +func TestIssueAndVerify_RoundTrip(t *testing.T) { + km, err := NewKeyManager() + if err != nil { + t.Fatalf("new key manager: %v", err) + } + token, err := km.Issue("user-1", "acme", time.Hour) + if err != nil { + t.Fatalf("issue: %v", err) + } + + v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) { + return km.PublicKeySet(), nil + }) + claims, err := v.Verify(context.Background(), token) + if err != nil { + t.Fatalf("verify: %v", err) + } + if claims.Subject != "user-1" || claims.TenantSlug != "acme" { + t.Fatalf("claims unerwartet: %+v", claims) + } +} + +// Akzeptanzkriterium 1: Verifikation lokal, kein Request pro Aufruf. +func TestVerify_DoesNotFetchPerCall(t *testing.T) { + km, err := NewKeyManager() + if err != nil { + t.Fatalf("new key manager: %v", err) + } + token, err := km.Issue("user-1", "acme", time.Hour) + if err != nil { + t.Fatalf("issue: %v", err) + } + + var mu sync.Mutex + fetchCalls := 0 + v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) { + mu.Lock() + fetchCalls++ + mu.Unlock() + return km.PublicKeySet(), nil + }) + + for i := 0; i < 10; i++ { + if _, err := v.Verify(context.Background(), token); err != nil { + t.Fatalf("verify %d: %v", i, err) + } + } + + mu.Lock() + defer mu.Unlock() + if fetchCalls != 1 { + t.Fatalf("erwartet genau 1 fetch fuer 10 Verify-Aufrufe innerhalb der TTL, habe %d", fetchCalls) + } +} + +// Akzeptanzkriterium 2 + Pruefung 1: Core simuliert nicht erreichbar, +// bereits authentifizierte Nutzer bleiben funktionsfaehig (Fail-Open mit +// letztbekanntem Schluesselstand). +func TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist(t *testing.T) { + km, err := NewKeyManager() + if err != nil { + t.Fatalf("new key manager: %v", err) + } + token, err := km.Issue("user-1", "acme", time.Hour) + if err != nil { + t.Fatalf("issue: %v", err) + } + + coreDown := false + v := NewVerifier(30*time.Millisecond, func(ctx context.Context) (map[string]ed25519.PublicKey, error) { + if coreDown { + return nil, errors.New("core nicht erreichbar (simuliert)") + } + return km.PublicKeySet(), nil + }) + + // Cache vorwaermen, waehrend Core noch erreichbar ist. + if _, err := v.Verify(context.Background(), token); err != nil { + t.Fatalf("verify (warm): %v", err) + } + + // "Core abschalten" und TTL ablaufen lassen. + coreDown = true + time.Sleep(50 * time.Millisecond) + + if _, err := v.Verify(context.Background(), token); err != nil { + t.Fatalf("verify sollte trotz core-ausfall mit letztbekanntem stand funktionieren: %v", err) + } +} + +// Akzeptanzkriterium 2 + Pruefung 2: neue sicherheitskritische Aktionen +// (z.B. neuer Login) schlagen bei Core-Ausfall klar fehl statt unsicher +// durchgelassen zu werden — auch wenn ein (aelterer) Cache-Stand existiert. +func TestRequireFreshKeys_FailsClosedWhenCoreUnreachable(t *testing.T) { + km, err := NewKeyManager() + if err != nil { + t.Fatalf("new key manager: %v", err) + } + + coreDown := false + v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) { + if coreDown { + return nil, errors.New("core nicht erreichbar (simuliert)") + } + return km.PublicKeySet(), nil + }) + + // Cache vorwaermen (existiert jetzt ein "veralteter" gueltiger Stand). + if _, _, err := v.cache.Get(context.Background()); err != nil { + t.Fatalf("warm cache: %v", err) + } + + coreDown = true + if err := v.RequireFreshKeys(context.Background()); err == nil { + t.Fatal("erwartet fehler (fail-closed) bei core-ausfall, habe nil") + } +} + +// Akzeptanzkriterium 3 + Pruefung 3: Schluesselrotation ohne Ausfallzeit — +// ein bereits ausgestelltes Token bleibt nach Rotation weiterhin +// verifizierbar, ein zweites (simuliertes) Modul bekommt beide Schluessel. +func TestRotate_NoDowntimeForAlreadyIssuedTokens(t *testing.T) { + km, err := NewKeyManager() + if err != nil { + t.Fatalf("new key manager: %v", err) + } + + oldToken, err := km.Issue("user-1", "acme", time.Hour) + if err != nil { + t.Fatalf("issue (alt): %v", err) + } + + if _, err := km.Rotate(); err != nil { + t.Fatalf("rotate: %v", err) + } + + newToken, err := km.Issue("user-2", "acme", time.Hour) + if err != nil { + t.Fatalf("issue (neu): %v", err) + } + + // Simuliertes zweites Modul: fragt den vollstaendigen Schluesselsatz ab. + moduleB := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) { + return km.PublicKeySet(), nil + }) + + if _, err := moduleB.Verify(context.Background(), oldToken); err != nil { + t.Fatalf("altes token sollte nach rotation weiterhin gueltig sein: %v", err) + } + if _, err := moduleB.Verify(context.Background(), newToken); err != nil { + t.Fatalf("neues token sollte gueltig sein: %v", err) + } +} + +func TestVerify_RejectsUnknownKid(t *testing.T) { + km1, _ := NewKeyManager() + km2, _ := NewKeyManager() // komplett anderer, unbekannter schluessel + + token, err := km1.Issue("user-1", "acme", time.Hour) + if err != nil { + t.Fatalf("issue: %v", err) + } + + v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) { + return km2.PublicKeySet(), nil // kennt km1s schluessel nicht + }) + if _, err := v.Verify(context.Background(), token); !errors.Is(err, ErrInvalidToken) { + t.Fatalf("erwartet ErrInvalidToken, habe %v", err) + } +} + +func TestJWKSRoundTrip(t *testing.T) { + km, _ := NewKeyManager() + km.Rotate() + + var buf []byte + rec := &captureWriter{} + km.ServeJWKS(rec, nil) + buf = rec.body + + parsed, err := ParseJWKS(buf) + if err != nil { + t.Fatalf("parse jwks: %v", err) + } + if len(parsed) != len(km.PublicKeySet()) { + t.Fatalf("erwartet %d schluessel, habe %d", len(km.PublicKeySet()), len(parsed)) + } +} + +type captureWriter struct { + body []byte + header http.Header +} + +func (w *captureWriter) Header() http.Header { + if w.header == nil { + w.header = http.Header{} + } + return w.header +} +func (w *captureWriter) Write(p []byte) (int, error) { w.body = append(w.body, p...); return len(p), nil } +func (w *captureWriter) WriteHeader(statusCode int) {} diff --git a/internal/moduletrust/verifier.go b/internal/moduletrust/verifier.go new file mode 100644 index 0000000..5a2721a --- /dev/null +++ b/internal/moduletrust/verifier.go @@ -0,0 +1,67 @@ +package moduletrust + +import ( + "context" + "crypto/ed25519" + "errors" + "time" + + "github.com/golang-jwt/jwt/v5" +) + +var ErrInvalidToken = errors.New("moduletrust: ungueltiges token") + +// KeyFetchFunc holt den aktuellen Schluesselsatz von Core (z.B. per HTTP-GET +// auf ServeJWKS + ParseJWKS). Wird vom Verifier nur bei abgelaufener TTL +// aufgerufen — NICHT bei jeder Verify()-Anfrage (Akzeptanzkriterium 1). +type KeyFetchFunc func(ctx context.Context) (map[string]ed25519.PublicKey, error) + +// Verifier ist die Modulseite von API-05: verifiziert JWTs LOKAL gegen einen +// per StaleCache zwischengespeicherten Schluesselsatz, ohne pro Aufruf einen +// synchronen Request an Core zu stellen. +type Verifier struct { + cache *StaleCache[map[string]ed25519.PublicKey] +} + +func NewVerifier(ttl time.Duration, fetch KeyFetchFunc) *Verifier { + return &Verifier{cache: NewStaleCache(ttl, func(ctx context.Context) (map[string]ed25519.PublicKey, error) { + return fetch(ctx) + })} +} + +// Verify prueft die Signatur LOKAL gegen den (ggf. abgelaufenen, aber +// vorhandenen) Schluesselsatz — FAIL-OPEN fuer bereits ausgestellte Tokens +// (Akzeptanzkriterium 2): ist Core nicht erreichbar, aber ein alter +// Schluesselsatz bekannt, wird damit weiter verifiziert. +func (v *Verifier) Verify(ctx context.Context, tokenString string) (*Claims, error) { + keys, _, err := v.cache.Get(ctx) + if err != nil { + return nil, err + } + + claims := &Claims{} + token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) { + if _, ok := t.Method.(*jwt.SigningMethodEd25519); !ok { + return nil, ErrInvalidToken + } + kid, _ := t.Header["kid"].(string) + pub, ok := keys[kid] + if !ok { + return nil, ErrInvalidToken + } + return pub, nil + }) + if err != nil || !token.Valid { + return nil, ErrInvalidToken + } + return claims, nil +} + +// RequireFreshKeys ruft IMMER frisch von Core ab (FAIL-CLOSED) — fuer +// sicherheitskritische Aktionen wie einen komplett neuen Login +// (Akzeptanzkriterium 2): schlaegt klar fehl, wenn Core nicht erreichbar +// ist, statt auf einem veralteten Schluesselsatz zu vertrauen. +func (v *Verifier) RequireFreshKeys(ctx context.Context) error { + _, err := v.cache.RequireFresh(ctx) + return err +} diff --git a/scripts/reset-test-env.sh b/scripts/reset-test-env.sh new file mode 100755 index 0000000..1ac53d7 --- /dev/null +++ b/scripts/reset-test-env.sh @@ -0,0 +1,16 @@ +#!/usr/bin/env bash +set -euo pipefail + +PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}" +ROLE="nexarch_test" + +export PGPASSWORD="$PASS" + +psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS tenants CASCADE;" + +dbs=$(psql -h localhost -U "$ROLE" -d postgres -tAc "SELECT datname FROM pg_database WHERE datname LIKE 'tenant\_%' ESCAPE '\'") +for db in $dbs; do + psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP DATABASE IF EXISTS \"${db}\";" +done + +echo "Testumgebung zurueckgesetzt: registry-tabelle + $(echo "$dbs" | grep -c . || true) tenant-datenbank(en) entfernt." diff --git a/scripts/run-checks.sh b/scripts/run-checks.sh new file mode 100755 index 0000000..f33ab30 --- /dev/null +++ b/scripts/run-checks.sh @@ -0,0 +1,18 @@ +#!/usr/bin/env bash +set -euo pipefail + +PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}" +cd "$(dirname "$0")/.." + +NEXARCH_TEST_DB_PASSWORD="$PASS" bash scripts/reset-test-env.sh + +export TEST_ADMIN_DSN="postgresql://nexarch_test:${PASS}@localhost:5432/postgres?sslmode=disable" + +echo "== go build ==" +go build ./... + +echo "== go vet ==" +go vet ./... + +echo "== go test (-p 1) ==" +go test ./... -p 1 -count=1